Handbuch. Wie nutze ich den Sparkassen-Computercheck richtig?

Transkript

1 Handbuch Wie nutze ich den Sparkassen-Computercheck richtig? Stand 09/2016

2 0 Verzeichnisse 0.1 Inhaltsverzeichnis 0 Verzeichnisse Inhaltsverzeichnis Abbildungsverzeichnis Der Sparkassen-Computercheck Zusammenfassung Zu Funktion und Ablauf des Computerchecks Hintergrund für Sicherheitschecks Zielgruppe Nutzungsvoraussetzungen Typischer Ablauf eines Checks Funktionsweise des Checks Inhalte im Check Hotline für Endkunden Datenschutz Technischer Hintergrund Abgrenzung des Testumfangs Der richtige Einsatz des Computerchecks in der Internetfiliale Die richtige Einführungskampagne für den Computercheck Kostenfrei Teaser, Banner und Bilder für den Computercheck Verwaltungsumgebung Vorteile beim richtigen Einsatz des Computerchecks Vorteil 1: Phishing reduzieren Vorteil 2: Supportkosten im Electronic-Banking reduzieren Vorteil 3: Umsetzung der MaSI-Regeln Vorteil 4: Vertriebs- und Marketingunterstützung Fragen und Antworten (FAQ) CORONIC GmbH, Seite 2

3 0.2 Abbildungsverzeichnis Abbildung 1 "Sparkassen-Computercheck Start-Seite"... 5 Abbildung 2 "Computercheck Läuft-Seite"... 7 Abbildung 3 "Computercheck Fehler-Seite"... 8 Abbildung 4 "Computercheck Lösungs-PDF"... 9 Abbildung 5 "Mobil-Check" Abbildung 6 "Tipps" Abbildung 7 "Downloads" Abbildung 8 "Tabelle der Prüfpunkte" Abbildung 9 "Einbindung in die Internetfiliale" Abbildung 12 "Statistik - Besucher und Prüfungen" Abbildung 13 "Statistik Fehlerquote" Abbildung 14 "Statistik Gefundene Fehler" Abbildung 15 "Feedbacks Abbildung 20 "Feedbacks Ein Feedback im Detail Abbildung 10 "Fehlerverteilung ohne Computercheck" Abbildung 11 "Fehlerquote Erst-Anwender" Abbildung 12 "Fehlerquote Alt-Anwender" CORONIC GmbH, Seite 3

4 Verwendungshinweis Das Handbuch zum Sparkassen-Computercheck ist für den internen Gebrauch in der Sparkasse gedacht. Es soll die Arbeit und den Umgang mit dem Produkt Computercheck erleichtern. Es ist nicht für Endkunden geeignet und soll auch nicht an diese weitergegeben werden. Stimmen zum Sparkassen-Computercheck Den Computercheck kann man sich am besten als eine Art Online PC-TÜV für technische Laien vorstellen. Er erkennt vollautomatisch Sicherheitsprobleme von Computer und Browser, beschreibt die gefundenen Fehler und unterstützt den Kunden diese Lücken wieder zu schließen. So sensibilisiert und hilft der Computercheck allen Kunden beim Umgang mit dem Thema Internet und Sicherheit. Der Computercheck basiert auf dem Produkt VISOR der CORONIC GmbH aus Kiel. Die Entwicklung des Computerchecks wurde 2003 aufgrund seiner hohen Innovationskraft durch die europäische Union, Europäischer Fonds für regionale Entwicklung (EFRE), gefördert. Bereits im Jahr 2005 wurde das Produkt Computercheck durch das offizielle Datenschutz Gütesiegel des Landes-Datenschutzbeauftragten (ULD) juristisch und technisch mit der Prüfnummer #1-01/2005 zertifiziert. Wir setzen den Computercheck seit 2006 ein und sind mit dem Produkt und dem Service der Firma CORONIC sehr zufrieden. Selten hat ein Angebot unseres Hauses ein so durchweg positives Echo unserer Kunden hervorgerufen. Kevin Kienzle, Leiter Medialer Vertrieb der KSK Böblingen (SVBW) "Sicherheit und Vertrauen sind die Grundlage jeder Geschäftsbeziehung. Nur ein Kunde, der sich sicher fühlt, nimmt auch aktiv an Online-Geschäftsprozessen teil. Der Sparkassen- Computercheck hilft dabei, die Kunden für das Thema Sicherheit zu sensibilisieren." Werner Grunwald, Referent des Sparkassenverbandes Schleswig-Holstein (SGVSH) "Wir setzen den Sparkassen-Computercheck und den Quick-Check seit Anfang 2012 ein und sind überrascht vom überaus positiven Feedback unserer Kunden sowie der intensiven Nutzung. Innerhalb der Sensibilisierungsstrategie unseres Hauses bildet der Check einen wertvollen Baustein." Mario Wellmanns, Leiter Medialer Vertrieb der Sparkasse am Niederrhein (RSGV) CORONIC GmbH, Seite 4

5 1 Der Sparkassen-Computercheck Abbildung 1 "Sparkassen-Computercheck Start-Seite" 1.1 Zusammenfassung Die Anwendung Sparkassen-Computercheck der Firma CORONIC aus Kiel ist seit vielen Jahren mit großem Erfolg bei über 130 Sparkassen im Einsatz. Der Computercheck erlaubt es den Kunden ihren privaten Computer und ihre Mobilgeräte auf Sicherheitslücken zu überprüfen. Ein sicherer Browser und aktuelle Software auf dem Smartphone sind die Grundvoraussetzungen für sicheres Online-Banking. Für jede Bank besteht zudem die Möglichkeit Einsicht in die Sicherheitsreports, Kundenfeedbacks und Nutzungszahlen des Computerchecks zu nehmen. Diese technische Erweiterung erlaubt es den Banken den Computercheck als aktives Instrument zur CORONIC GmbH, Seite 5

6 Reduktion der Phishing- und Supportkosten, Umsetzung der MaSI-Regeln sowie zur erweiterten Vertriebs- und Marketingunterstützung einzusetzen. Das Handbuch erklärt die Voraussetzungen für den Einsatz des Sparkassen-Computerchecks sowie die verfügbaren Funktionen und Inhalte. Im Anhang findet sich eine Reihe typischer Fragen von Endanwendern zum Computercheck mit den zugehörigen Antworten (FAQ). 2 Zu Funktion und Ablauf des Computerchecks 2.1 Hintergrund für Sicherheitschecks Der Internet-Browser ist das Daten-Tor zum World Wide Web. Durch ihn müssen alle Informationen laufen. Das betrifft auch Videos, Musik und PDF-Dokumente. Stand in der Vergangenheit nur die Aktualität von Windows im Vordergrund, so ist heute der Browser (und mit ihm all seine Plugins und Multimedia-Anwendungen) die größte Schwachstelle am heimischen Computer. Fast alle Drive-by-Angriffe von Trojanern laufen heute über Browser- Plugins oder Multimediaformate. Betroffen sind alle großen Hersteller von Media-Plugins wie Apple (Quicktime), Microsoft (Silverlight) und Adobe (Flash, PDF). Leider wissen die meisten Kunden nicht, welche Erweiterungen in ihrem Browser installiert sind und können die Gefahr daher auch nicht erkennen. Hier hilft ein individueller Check, der die Risiken am eigenen Computer und dem privaten Mobil-Gerät aufdeckt und so den Endkunden für das Thema Sicherheit von iphone bis PC weiter sensibilisiert. 2.2 Zielgruppe Der Computercheck wendet sich an alle normalen Internetnutzer, die die Sicherheit ihres persönlichen Computers 1 im Internet durch den Check erhöhen wollen. Er setzt keinerlei technische Kenntnisse voraus und verzichtet auf jede Form von Spezialvokabular. Der Computercheck funktioniert auf Knopfdruck direkt über die Webseite der Sparkasse. Für das korrekte Funktionieren muss keine zusätzliche Software und kein Plugin installiert oder aktiviert werden. Es sind keinerlei Konfiguration oder Anpassungen auf Kundenseite nötig. 2.3 Nutzungsvoraussetzungen Da der Computercheck als reine Onlineanwendung konzipiert wurde, benötigt man zum Start des Checks nur einen Internetzugang und einen JavaScript-fähigen Browser. Unterstützt werden derzeit alle Windows-Betriebssysteme sowie Apple Macintosh, Linux (Ubuntu). Auf mobiler Seite unterstützt der Check iphone und ipad sowie gängige Android 1 Der Computercheck kontrolliert Windows-, Linux- und Apple-Computer sowie alle gängigen mobilen Internetfähigen Geräte von iphone & Android bis zum WindowsPhone. All diese Internet-Geräte werden im Folgenden der Einfachheit halber Computer genannt. CORONIC GmbH, Seite 6

7 und WindowsPhone Smartphones und Tablets. Der Check läuft mit heute verfügbaren Internet-Browsern und erkennt Sicherheitslücken in Microsofts Internet Explorer, Mozilla Firefox, Google Chrome, Apples Safari und Opera. 2.4 Typischer Ablauf eines Checks Hier wird ein typischer Ablauf des Computerchecks beschrieben, wie ihn der Kunde meistens erlebt. Beginnend mit einem Klick auf den Startknopf ( Start-Seite ) läuft der Check für circa 10 Sekunden ( Läuft-Seite ). Danach werden die Ergebnisse angezeigt ( Fehler-Seite ). Der Computercheck ist so konzipiert, dass ein Klick auf den Start-Button ausreicht, um den Prüflauf zu beginnen. Hierfür sind keine gesonderten Einstellungen oder Installationen auf Kundenseite notwendig. Der Check läuft mit jedem Computersystem und jedem Browser Abbildung 2 "Computercheck Läuft-Seite" Ein einzelner Prüflauf dauert circa 10 Sekunden. Hierbei treten verschiedene Audit-Server in Aktion, die den Computer auf bekannte Sicherheitslücken und veraltete Softwarestände hin untersuchen. Dabei wird ein Teil der Prüfungen serverseitig ausgeführt, ein anderer Teil clientseitig per JavaSkript. Dieser zweite skriptbasierte Anteil funktioniert auch hinter einer Firewall oder in einem Firmen-Netzwerk. CORONIC GmbH, Seite 7

8 Abbildung 3 "Computercheck Fehler-Seite" Auf der Fehler-Seite werden die gefundenen Sicherheitslücken aufgelistet. Neben einer symbolischen Ampel, der Kurzbeschreibung und dem Schnell-Link zum Hersteller gibt es für jede Sicherheitslücke ein ausführliches Lösungs-Dokument im PDF-Format. Darin wird sowohl die Art des Fehlers als auch die Behebung desselben ausführlich beschrieben. Es gibt für alle der circa 50 überprüften Schwachstellen ausführliche Lösungsdokumente. Die meisten davon in einer jeweils auf das Betriebssystem (Windows, Mac, Linux/Ubuntu, ios, Android, WindowsPhone) angepassten und für den verwendeten Browser optimierten Form, so dass man leicht auf einige hundert unterschiedliche PDF-Dokumente kommt. Die einzelnen Lösungsdokumente sind für technische Laien ausgelegt und begleiten den Kunden bei jedem einzelnen Schritt mit Text und Bild durch die Aktualisierung des Computers. Falls der Kunde weitere Verständnis- oder Fachfragen zu dem aktuellen Thema haben sollte, findet sich am Ende jeder Lösungsdokumentation ein Hinweis auf die technische Hotline. Neben den Lösungsdokumenten verfügt der Computercheck über eine Reihe weiterer PDF- Anleitungen, die sich allgemeinen Sicherheitsfragen widmen. Diese finden sich in den Bereichen Meldungen, Downloads sowie Tipps. CORONIC GmbH, Seite 8

9 Abbildung 4 "Computercheck Lösungs-PDF" 2.5 Funktionsweise des Checks Der Computercheck führt eine Reihe von verschiedenen Einzelprüfungen, den so genannten Prüfpunkten, durch. Jeder dieser Prüfpunkte gibt Aufschluss über einen speziellen Sicherheitsaspekt des getesteten Computers. Einige Prüfpunkte testen das Windows-System oder den Internet-Browser. Andere Prüfpunkte kontrollieren die Aktualität von Browser-Plugins, wie z. B. Flash oder Silverlight. Schon aufgrund des kurzen Zeitintervalls der Prüfung von nur 10 Sekunden ist eine vollständige Kontrolle aller Sicherheitsaspekte ausgeschlossen. Der Check überwacht nur ausgewählte und technisch direkt oder indirekt nachweisbare Sicherheitsprobleme von Windows-, Mac- und Linux-Computern sowie Smartphones und Tablets. CORONIC GmbH, Seite 9

10 2.5.1 Mobil-Check (kostenpflichtiges Zusatz-Modul) Viele Kunden haben bereits heute mehr als nur ein Internetfähiges Gerät. Was passiert nun, wenn man den Computercheck mit seinem PC oder ipad besucht und gleich noch sein Smartphone mittesten will? Weil das Abtippen der Check-URL auf dem Handy eine mühsame Angelegenheit ist, besitzt der Computercheck ein Extra-Tab für mobile Endgeräte. Von hier kann eine angepasste mobile Variante des Computerchecks bequem per QR-Code gestartet werden. Abbildung 5 "Mobil-Check" Beachten Sie auch die Möglichkeit den QR-Link zum mobilen Computercheck für Ihre Kundenkommunikation in Form von Anschreiben, Flyern oder auf klassischen Briefen einzusetzen. So kann man dem Kunden z. B. einen Gratis Mobil-Check anbieten und ihn damit zum Testen auf die Internetseite locken. Da inzwischen viele Internetseiten, wie auch die Internet-Filiale 6.0, responsiv agieren, d.h. ihre Inhalte automatisch an die veränderte Größe von mobilen Geräten anpassen, wurde der MobilCheck in der IF6.0 fest in den normalen Computercheck integriert Facebook-Check (kostenpflichtiges Zusatz-Modul) Das Internet der zweiten Generation ist längst zum Lebensalltag der meisten Deutschen geworden. Facebook und soziale Medien sind heute genauso selbstverständlich wie das Fahren mit dem Auto. Auch der Computercheck ist auf dem Weg ins soziale Netz. Als Site Administrator der Firmen-Facebook-Fanpage kann man durch einfaches Klicken auf den Aktivierungs- Link eine angepasste Version des Computerchecks in den Facebook-Auftritt einbinden. Weil technisch jeder, der über diesen speziellen Link verfügt, in der Lage wäre das Produkt in seiner Facebook-Fan-Seite einzubauen, verzichten wir an dieser Stelle auf weiterführende Informationen. Falls Sie sich für dieses Zusatzmodul als Kaufoption entschieden haben sollten, sprechen Sie uns bitte gesondert an. CORONIC GmbH, Seite 10

11 2.6 Inhalte im Check Neben dem eigentlichen Computercheck gibt es eine Reihe weiterer Informationen, die beim Umgang mit dem Thema Sicherheit sensibilisieren und helfen: Downloads Direkte qualitätsgesicherte Links zu den wichtigsten Programmen und Aktualisierungen für Browser, Betriebssystem, Plugins und Multimedia-Anwendungen. Tipps Die wichtigsten Sicherheitstipps für Windows-, Linux- und Macintosh-Computer. Hier wird erklärt, wie man sein System aktualisiert, eine Firewall einrichtet oder ein Antivirenprogramm installiert. Meldungen Hier erscheinen aktuelle Sicherheitsmeldungen für technische Laien. Es wird über wichtige Sicherheitslücken oder aktuelle Trojaner-Angriffe berichtet. Zusätzlich werden aktive Lösungsvorschläge im Rahmen von Schritt-für-Schritt-Anleitungen gemacht, damit der Kunde seinen Computer wieder absichern kann. Meine Meinung Im Bereich Meine Meinung kann der Nutzer direkt sein Feedback zum Computercheck abgeben oder aber sich mit speziellen technischen Fragen an die - Hotline wenden. FAQ Eine Sammlung typischer Fragen und Antworten, wie sie häufig von Endkunden beim Einsatz des Computerchecks gestellt werden. Infos & Rechtliches Darüber hinaus gibt es weiterführende Informationen zur Nutzung, Art und Umfang des Checks sowie den rechtlichen Rahmenbedingungen in einzelnen, jeweils direkt auf der Startseite des Checks verlinkten, Unterseiten. CORONIC GmbH, Seite 11

12 Abbildung 6 "Tipps" Auf der Seite Tipps und Meldungen werden die wesentlichen Schritte zur Absicherung des privaten Computers beschrieben. Der erste ist selbstverständlich der Computercheck. Liefert der Test keine Fehler mehr, so kann sich der Kunde der Aktualisierung seines Betriebssystems, Browsers sowie der korrekten Konfiguration und Installation von Firewall -und Antiviren-Software widmen. Der Computercheck erkennt hierbei automatisch das Internet-Gerät des Kunden und bietet in einer Vorauswahl nur die Informationen an, die auch zum Kunden- System passen. Natürlich lassen sich durch individuelle Auswahl auch unter Windows alle Apple-Tipps und unter Linux alle Windows-Downloads anzeigen. CORONIC GmbH, Seite 12

13 Abbildung 7 "Downloads" 2.7 Hotline für Endkunden Zum Computercheck gehört eine Experten-Hotline, die technische Fragen der Kunden per E- Mail beantwortet. Auf jeder Schritt-für-Schritt-Anleitung und jedem Lösungs-PDF, das der Computercheck ausgibt, findet sich auf der letzten Seite der Hinweis auf die Hotline. Meist lautet die -Adresse: hilfe@sparkassen-computercheck.de Unter dieser Adresse bietet die CORONIC GmbH werktags eine technische Hotline für alle Nutzer des Computerchecks an. Falls Fragen zu den gefundenen Fehlern oder aber den benötigten Schritten zur Reparatur des privaten Computers auftauchen, so helfen die Servicemitarbeiter weiter. Die Kundenansprache ist freundlich und neutral, so dass nicht auf den Service eines Dritten (CORONIC) zurückgeschlossen werden kann. Technische Fragen werden mit den Kunden direkt geklärt. Sollte doch einmal bankspezifische oder nicht technische Fragen in der Computercheck-Hotline auflaufen, so übermittelt der Computercheck-Support die Anfragen an die zuständige Sparkasse. 2.8 Datenschutz Der Check nimmt den Datenschutz sehr ernst und speichert keinerlei sensiblen Daten Personenbezogene Daten Im Rahmen der Überprüfung werden keine personenbezogenen Daten gesammelt oder ausgewertet Statistische Daten Aus Dokumentationszwecken werden bei jeder Nutzung statistische Daten gespeichert. Hierzu gehören z. B. die Zahl der Besucher und die Zahl der aufgerufenen Seiten. Diese Daten stellen keine durch das Datenschutzrecht besonders zu behandelnden personenbezogenen Daten dar und dienen allein statistischen Zwecken. Das Produkt ist nach den höchsten Standards von Sicherheit- und Datenschutz im Rahmen eines EU Forschungsprojektes von der Firma CORONIC GmbH in Kiel entwickelt worden und mit dem offiziellen Datenschutz Gütesiegel des Datenschutzbeauftragten juristisch und technisch zertifiziert. 2.9 Technischer Hintergrund Der folgende Abschnitt beschäftigt sich aus technischer Sicht mit Art und Umfang der durchgeführten Sicherheitsprüfungen innerhalb des Computerchecks Browser-, Plugin- und Applikationskontrolle Die Kontrolle der Aktualität von Browser-, Betriebssystem und Multimedia-Komponenten erfolgt über Java-Skript-Funktionen. Diese Skripte werden vom Browser des zu testenden CORONIC GmbH, Seite 13

14 Systems selbst ausgeführt. Es ist kein externer Server an diesem Funktionstest beteiligt. Die Prüfroutinen funktionieren daher auch auf Computern mit aktivierten Firewall- und Antivirus-Systemen. Sie fragen gewissermaßen bei Betriebssystem und Browser den aktuellen Versionsstand der installierten Softwarekomponenten an. Die gemeldeten Versionsstände werden dann online mit der jeweils aktuellen Version auf dem Computercheck-Server verglichen. Sollte es eine neuere Version geben, so wird dies mit einem Warnhinweis vermerkt. Sollte die aktuelle Version Sicherheitslücken aufweisen oder aber durch Schadsoftware angreifbar sein, erfolgt eine Fehlermeldung. Der Computercheck testet eigentlich nichts anderes, was auch ein normaler Webserver testen würde. Nämlich ob der Kunde Internet-Explorer oder Firefox einsetzt (für die Statistik wichtig) und ob er über ein Flash-Plugin verfügt (Videofunktion vorhanden?) nur, dass der Check noch mehr Softwarekomponenten abfragen kann und sich auch für die exakten Versionsnummern dieser Softwarekomponenten interessiert Aktuelle Prüftabelle Mit Stand vom September 2016 testet der Computercheck in den unterschiedlichen Prüfgruppen auf folgende Prüfpunkte. Gruppe Browser und Betriebssystem Plugins und Addons Prüfpunkte des Computercheck Windows 10, Windows 8.1, Windows 8, Windows 7, Windows Vista, Windows XP, Windows 2000, Windows Me, Windows 98, Windows 95, OS X El Capitan, OS X Yosemite, OS X Mavericks, OS X Mountain Lion, Mac OS X Lion, Mac OS X Snow Leopard, Ubuntu Linux, Microsoft Edge, Internet Explorer 11, Internet Explorer 10, Internet Explorer 9, Internet Explorer 8, Internet Explorer 7, Internet Explorer 6, Internet Explorer 5 oder älter, Firefox für Windows, Mac und Linux, Nexus-Smartphones und Tablets, HTC Smartphones mit Android-Betriebssystem, Sony Smartphones und Tablets mit Android-Betriebssystem, Samsung Smartphones und Tablets mit Android-Betriebssystem, Pale Moon, Google Chrome für Windows, Mac und Linux, Safari Browser für Windows und Mac, Opera Browser für Windows, Mac and Linux, Android 1 bis 6, Windows Phone 7, ios 1 bis 9, Windows Phone 8, Windows 10 Mobile, BlackBerry OS 10, Firefox für Android, Google Chrome für Android, Google Chrome für ios, Amazon Kindle Fire, Adobe Flash Player für Android, Browserlücke in Android 4.3 und früher Java-Version 8, Java-Version 7, Java-Version 6 für Mac OS X, Java-Version 6, Java-Version 5 oder älter, Alte Java-Version, Adobe Flash Player für Internet Explorer 10 und 11 unter Windows 8, Windows 8.1 und Windows 10, Adobe Flash Player für Google Chrome, Adobe Flash Player 11-21, CORONIC GmbH, Seite 14

15 Adobe Flash Player 10, Adobe Flash Player 9 oder älter, Shockwave Player, VLC Media Player, Silverlight, Windows Media Player für Windows 8.1, Windows Media Player für Windows 8, Windows Media Player für Windows 7, Windows Media Player für Windows Vista, Windows Media Player für Windows XP, QuickTime unter Windows deinstallieren, Quick- Time für OS X, Adobe AIR, Adobe Reader Abbildung 8 "Tabelle der Prüfpunkte" 2.10 Abgrenzung des Testumfangs Natürlich kann der Computercheck nicht alles testen und bietet daher auch keine hundertprozentige Sicherheit. Er ist aber der erste Schritt hin zu einem besseren Sicherheitsverständnis und mehr Schutz für den privaten Computer. Der Check beschränkt sich ganz bewusst auf ausgewählte Sicherheitslücken, welche bei der Verbreitung von schädlicher Software im Internet ausgenutzt werden und die technisch ohne direkten Zugriff auf den Computer des Kunden zu erkennen sind. Dabei unterstützt der Computercheck alle Windows PCs, Apple Macintosh Computer, Linux (Ubuntu) sowie die meisten mobilen Internet-Geräte von ios, über Android bis WindowsPhone. Unterstützt werden alle gängigen Browser- Versionen von Internet-Explorer, Firefox und Google Chrome bis hin zu Opera und Safari. 3 Der richtige Einsatz des Computerchecks in der Internet-Filiale Aufgrund eines Rahmenvertrages des CORONIC GmbH mit dem Deutschen Sparkassen und Giroverband stellt die Sparkasse Finanzportal GmbH den Computercheck als Modul für die Internet-Filiale 6.0 zur Verfügung. Der Sparkassen-Computercheck ist damit für alle Sparkassen in Deutschland nutzbar, allerdings müssen zuvor die mit dem DSGV abgestimmten Nutzungsbedingungen akzeptiert werden. Abbildung 9 "Einbindung in die Internet-Filiale" CORONIC GmbH, Seite 15

16 3.1 Die richtige Einführungskampagne für den Computercheck Wenn alle Vorteile des Computerchecks (siehe dazu Kapitel 4) genutzt werden sollen, ist es zwingend notwendig, dass möglichst viele Kunden den Check regelmäßig durchführen. Zur Einführung hat es sich daher als sehr erfolgreich erwiesen, den Computercheck in der Startphase aktiv zu bewerben. Zum Beispiel im Logout-Bereich des Online-Bankings, durch einen Homepage-Teaser oder einen Hinweis beim Login zum Online-Banking. Danach sollte der Check einen festen Platz im Internetauftritt bekommen, so dass die Kunden ihn immer wieder finden und regelmäßig neu aufsuchen können. 3.2 Kostenfrei Teaser, Banner und Bilder für den Computercheck Nach der Einführungskampagne kann der Computercheck durch zusätzliche Teaserelemente weiter beworben werden. Vorgefertigte Homepageelemente inkl. Bildern in den passenden Größen werden ebenfalls als Installations-ZIP-Datei zur Verfügung gestellt. Die Elemente können direkt verwendet oder aber die enthaltenen Bilder für eigene Opener, etc. angepasst werden. Die passenden Bilder finden Sie unter: Verwaltungsumgebung Neben dem Kern-Modul für die Privatkunden, also dem eigentlichen Computercheck, gibt es noch eine Verwaltungsoberfläche für die Nutzer innerhalb der Bank. Sie erhalten über diese Verwaltungsoberfläche Zugriff auf die aktuellen Nutzungsstatistiken und Kundenfeedbacks. Zur Verwaltungsumgebung gelangen Sie über die Adresse: Die Verwaltungsumgebung steht Ihnen als Web-Frontend verschlüsselt zur Verfügung. Es erscheint ein Login, bei dem Sie sich mit einem speziell für Sie bereitgestellten Benutzer anmelden. Nach erfolgreichem Anmeldevorgang gelangen Sie auf die Administrationsseiten Ihres Auftritts. Dort stehen Ihnen die Funktionen Statistik, Feedbacks und Einstellungen zur Verfügung Statistik Die statistischen Daten werden grafisch aufbereitet zur Verfügung gestellt. Dazu gehören die Zahl der Besucher, der Downloads sowie die durchgeführten Prüfungen. Die Fehlerstatistik listet die gefundenen Fehler sowie die verwendeten Betriebssysteme und Browser auf. Die einzelnen Grafiken lassen sich mit dem Download-Symbol (unten rechts) als Bild abspeichern oder als CSV-Datei zur weiteren Bearbeitung in Microsoft Excel exportieren. CORONIC GmbH, Seite 16

17 Abbildung 10 "Statistik - Besucher und Prüfungen" Abbildung 11 "Statistik Fehlerquote" CORONIC GmbH, Seite 17

18 Abbildung 12 "Statistik Gefundene Fehler" Feedbacks Abbildung 13 "Feedbacks Neben einer grafischen Zusammenfassung der abgegebenen Feedbacks lassen sich die einzelnen Feedbacks einsehen. Pro Feedback sind die abgegebenen Antworten und die optionale Anfrage des Kunden an den Support dargestellt. Zusätzlich wird die Antwort des Supportmitarbeiters angezeigt, soweit der Kunde eine Adresse hinterlassen hat und der Support eine Antwort geschickt hat. CORONIC GmbH, Seite 18

19 Abbildung 20 "Feedbacks Ein Feedback im Detail 4 Vorteile beim richtigen Einsatz des Computerchecks Natürlich ist der Computercheck in erster Linie ein vorbeugendes Sicherheitsinstrument. Er soll den ersten Schritt zu einem besseren Verständnis von Internet und Sicherheit erleichtern, den Nutzern offensichtliche Sicherheitslücken aufzeigen und bei der Behebung dieser Fehler Unterstützung leisten. Diese Arbeit am Kunden ist löblich und nützlich, denn sie verbessert das Image und erhöht die Kundenbindung und Kundenzufriedenheit. Sie bietet aber auch einige sehr direkte Vorteile, wie z. B. Kostenreduktion im Support und beim Phishing sowie Unterstützung bei Marketing- und Vertriebsaktivitäten. 4.1 Vorteil 1: Phishing reduzieren Ein angenehmer Nebeneffekt des Checks ist die stetige Verbesserung der Aktualität aller Softwarekomponenten auf den Computern und Smartphones der Nutzer. Eine Bank, die den Computercheck zum allerersten Mal einsetzt, hat meistens eine Fehlerquote von fast 90 % bei ihren Nutzern. Das bedeutet Abbildung 10 "Fehlerverteilung ohne Computercheck" nichts anderes, als dass nur 10 % aller Besucher der Homepage hinreichend aktuelle Softwarekomponenten auf ihrem Computer haben. 90 % haben mindestens eine Sicherheitslücke, die sich von Schadsoftware und Trojanern ausnutzen lässt. Führt man den Computercheck mit einem prominenten Teaser oder Banner ein, so dass bereits zum Start möglichst viele Kunden dieses neue Angebot finden können, dann sinkt die Fehlerquote bereits in den ersten Wochen auf Werte um die 60 bis 70 %. CORONIC GmbH, Seite 19

20 100% 90% 80% 70% Fehlerquote, d. h. Zahl der PCs mit mindestens einem Fehler 80% 70% 60% 50% 60% 50% 40% 30% Fehlerquote eines Jahres, kummuliert über mehrere Institute MaiJuni Jul AugSep OktNovDez Jan Feb Abbildung 11 "Fehlerquote Erst-Anwender" Abbildung 12 "Fehlerquote Alt-Anwender" Die obige Statistik ist ein deutlicher Beleg dafür, dass die Nutzer sich um ihre Sicherheit selber kümmern wollen, man muss ihnen nur den ersten Schritt dahin so leicht wie möglich machen. Natürlich bleibt dieses rasante Absinken der Fehlerquote in den kommenden Monaten nicht erhalten. Die zweite Abbildung zeigt eine typische Statistik (kumuliert über mehrere Banken) für ein ganzes Jahr. Man erkennt sehr gut, wie die Fehlerquote Stück für Stück weiter absinkt und in die Größenordnung von nur 50 % kommt. Das bedeutet, lediglich jeder zweite Nutzer hat noch eine Sicherheitslücke, die sich durch Schadsoftware ausnutzen ließe. Einige sehr aktive Institute schaffen es auch die Fehlerquote auf unter 40 % zu drücken, viel mehr ist ohne größeren Werbeaufwand jedoch nur schwer darstellbar. Das liegt daran, dass sich Sicherheitslücken teilweise tagesaktuell verändern, der Nutzer den Check jedoch meist nur im Wochen- oder Monatsrhythmus besucht. Es lässt sich jedoch festhalten, dass eine Reduzierung der Fehlerquote von 90 % auf % eine Halbierung der absoluten Fehlerzahl bedeutet. Diese Halbierung entspricht auch einer Halbierung der Angriffswahrscheinlichkeit durch Drive-by-Trojaner und sollte bei einer Nutzungsquote des Computerchecks von etwa 50 % zu einer um 25 % reduzierten Schadensquote im Phishing führen Vorteil 2: Supportkosten im Electronic-Banking reduzieren Fast die Hälfte aller Anfragen von Privatpersonen bezüglich Störungen oder Mängeln in der Darstellung des Internetauftritts oder des Bankings gehen auf Aktualisierungsprobleme auf Seiten des Kunden-Computers zurück. Statt hier jeden Einzelfall aufwändig zu beraten, sind viele Banken dazu übergegangen den Computercheck aktiv als Supportinstrument zu nutzen. Der Kunde wird gebeten erst einmal den Check zu machen und dafür zu sorgen, dass die 2 Diese Aussage ist nur eine Abschätzung im Rahmen von offensichtlichen Proportionalitäten. Ein direkter Nachweis ist schwierig, weil die Schadensquoten sich auf viele technische und menschliche Faktoren gründen (wie zum Beispiel die Zahl der verfügbaren Finanzagenten). Technische Voraussetzung für das Eindringen eines Drive-by-Trojaners ist und bleibt jedoch immer die Ausnutzung einer Sicherheitslücke im Browser oder in der Multimedia-Anwendungen - und genau diese Sicherheitslücken kann der Computercheck nachhaltig schließen. CORONIC GmbH, Seite 20

21 Ampel wieder grün zeigt. Danach kann er sich gegebenenfalls wieder melden. Die Erfahrung lehrt, dass sich ein Großteil dieser Anfragen durch den Verweis auf die wichtige Aktualisierung im Computercheck ohne Aufwand für die Bank klären lässt, denn aktuelle Softwarekomponenten bedeuten automatisch weniger Probleme mit der Seitendarstellung. 4.3 Vorteil 3: Umsetzung der MaSI-Regeln Der Sparkassen-Computercheck ist fest in den Internetauftritt der Bank eingebunden und unterstützt dort bereits vorhandene Sicherheitshinweise um eine neue, aktive Komponente. Der Check analysiert ganz individuell die persönlichen Sicherheitsdefizite bei jedem einzelnen Kunden. So unterstützt er die Bank bei der Umsetzung der Mindestanforderungen an die Sicherheit von Internetzahlungen (MaSI). Diese fordern, dass Banken ihren Kunden künftig zentral Unterstützung und Orientierung bei der sicheren Nutzung der Internetzahlungsdienste anbieten sollen. Der Computercheck setzt keine weiteren technischen Kenntnisse voraus, er muss nicht installiert oder konfiguriert werden sondern er startet einfach auf Knopfdruck. Gerade für technische Laien ist der Computercheck dadurch eine sehr große Hilfe und bietet für die Bank ein einfaches Instrument, um der von der Regulatorik geforderten Unterstützungspflicht beim Thema Sicherheit fachlich nachzukommen. 4.4 Vorteil 4: Vertriebs- und Marketingunterstützung Untersuchungen der Initiative D21 unter Beteiligung der Fiducia haben gezeigt, dass die Mehrheit der Offliner deswegen offline ist, weil sie Sicherheitsbedenken haben. Platt gesprochen fürchten sie aufgrund der eigenen technischen Unkenntnis im Internet beraubt zu werden und meiden daher notgedrungen auch das Online-Banking. Diesem Personenkreis kann der Computercheck weiterhelfen. Er erkennt Sicherheitslücken, hilft bei der Reparatur, bietet eine -Hotline für Fragen und stärkt so Vertrauen und Zuversicht in den eigenen Computer. Die Onlinequote erhöht sich und die Kosten im Bereich Beleg- und Automaten- Banking sinken. Auch für die Differenzierung im Wettbewerb benötigt man heute echte Online-Mehrwerte, die auch gegenüber dem Kunden ins Feld geführt werden können. Hier kann der Computercheck ein starkes Argument sein, denn nur ein Kunde der sich wirklich sicher fühlt, nimmt auch aktiv an Online-Geschäftsprozessen teil. CORONIC GmbH, Seite 21

22 5 Fragen und Antworten (FAQ) Die folgende Sammlung enthält typische Fragen und Antworten, wie sie häufig von Endkunden beim Einsatz des Computerchecks gestellt werden. Was macht der Computercheck? Den Computercheck kann man sich am besten als eine Art Online-PC-TÜV für technische Laien vorstellen. Er erkennt vollautomatisch Sicherheitsprobleme von Computer und Browser, beschreibt die gefundenen Fehler und unterstützt den Kunden diese Lücken wieder zu schließen. Der Internet-Browser ist das Daten-Tor zum World Wide Web. Durch ihn müssen alle Informationen laufen. Das betrifft auch Videos, Musik und PDF-Dokumente. Stand in der Vergangenheit nur die Aktualität von Windows im Vordergrund, so ist heute der Browser (und mit ihm all seine Plugins und Multimedia-Anwendungen) die größte Schwachstelle am heimischen Computer. Fast alle Drive-by-Angriffe von Trojanern laufen heute über Browser- Plugins oder Multimediaformate. Betroffen sind alle großen Hersteller von Media-Plugins wie Apple (Quicktime), Microsoft (Silverlight) und Adobe (Flash, PDF). Leider wissen die meisten Kunden nicht, welche Erweiterungen in ihrem Browser installiert sind und können die Gefahr daher auch nicht erkennen. Hier hilft ein individueller Check, der die Risiken am eigenen Computer und dem privaten Mobil-Gerät aufdeckt und so den Endkunden für das Thema Sicherheit von iphone bis PC sensibilisiert. Ersetzt der Computercheck eine Firewall und ein Antivirenprogramm? Der Computercheck testet den Computer und den Browser auf bekannte Sicherheitslücken und veraltete Programme. Weil der Test sehr schnell geht, können natürlich nicht alle Sicherheitslücken kontrolliert werden. Der Check beschränkt sich daher auf wesentliche Lücken, die man technisch sicher von außen erkennen kann. Der Computercheck ist somit kein Ersatz für einen Virenscanner oder eine Firewall. Was bedeutet die grüne Ampel? Die grüne Ampel besagt, dass alle Prüfpunkte vom Computercheck erfolgreich durchlaufen wurden. Das sind derzeit etwa Einzelprüfungen auf unterschiedlichste Sicherheitslücken. Grün bedeutet hierbei nicht, dass nie wieder etwas passiert oder der Computer unter keinen Umständen mehr angreifbar ist. Das wird dem Nutzer auch in dem Text unter dem grünen Prüfergebnis deutlich kommuniziert und ist in den Nutzungsbedingungen ausdrücklich so formuliert. Die Nutzungsbedingungen sind in dieser Form juristisch geprüft und lassen keine Schadensersatzansprüche zu. Man kann sich das ein bisschen wie ein grünes TÜV Siegel am Auto vorstellen. Es bestätigt die korrekte Durchführung der einzelnen TÜV- CORONIC GmbH, Seite 22

23 Prüfungen, das ist aber keine Garantie, dass man nie wieder einen Verkehrsunfall haben wird. Habe ich durch Computercheck-Nutzer mehr Supportaufwände? Nein. Die meisten Banken, die den Computercheck einsetzen, berichten eher Gegenteiliges. Typische Supportanfragen bei Darstellungsproblemen im Web gehen meist auf mangelnde Softwareaktualisierungen zurück und werden vom Computercheck zielsicher erkannt. Darüber hinaus wird dem Nutzer bei der Durchführung der Updates und der Aktualisierung seiner Softwarekomponenten geholfen. So spart der Computercheck mehr Supportaufwände ein, als dass er welche erzeugt. Selbst bei komplizierten individuellen technischen Fragen bietet er eine Hotline für Endkunden an, mit deren Hilfe sich auch knifflige technische Probleme lösen lassen. Kann ich mit dem Computercheck Phishing bekämpfen? Die meisten Trojaner verbreiten sich heute über Schwachstellen in den Multimedia- Anwendungen von Browser und Betriebssystem. Der Computercheck erkennt solche Lücken und hilft dem Kunden diese wieder zu schließen. Bei Banken, die das Produkt bereits länger einsetzen, lässt sich eindeutig ein Rückgang der Fehlerquote bei allen Privatkunden Computern um 50 % nachweisen. Logischerweise bedeutet ein Rückgang der Fehlerquote auch weniger Trojaner-Angriffe und daher am Ende weniger Phishing. Um hier kurzfristig erfolgreich zu sein ist es wichtig eine Einführungskampagne für das Produkt zu machen, damit möglichst viele Kunden den Computercheck kennen lernen. Am einfachsten geht das mit einem Hinweis vor dem Login zum Online-Banking. Kann mir der Computercheck bei der Umsetzung der MaSi-Regeln helfen? Der Computercheck ist fest in den Internetauftritt der Bank eingebunden und unterstützt dort bereits vorhandene Sicherheitshinweise um eine neue, aktive Komponente. Der Check analysiert ganz individuell die persönlichen Sicherheitsdefizite bei jedem einzelnen Kunden. So unterstützt er Sie als Bank bei der Umsetzung der Mindestanforderungen an die Sicherheit von Internetzahlungen (MaSI). Diese fordern, dass Banken ihren Kunden künftig zentral Unterstützung und Orientierung bei der sicheren Nutzung der Internetzahlungsdienste anbieten sollen. Der Computercheck setzt keine weiteren technischen Kenntnisse voraus, er muss nicht installiert oder konfiguriert werden sondern er startet einfach auf Knopfdruck. Gerade für technische Laien ist der Computercheck dadurch eine sehr große Hilfe und bietet für die Bank ein einfaches Instrument, um der von der Regulatorik geforderten Unterstützungspflicht beim Thema Sicherheit fachlich nachzukommen. CORONIC GmbH, Seite 23

24 Kann ich meine Supportkosten mit Hilfe des Computerchecks reduzieren? Fast die Hälfte aller Kundenanfragen bezüglich Störungen oder Mängeln des Internetauftritts oder des Bankings gehen auf Aktualisierungsprobleme der Kunden-Computer zurück. Statt hier jeden Einzelfall aufwändig zu beraten, sind viele Banken dazu übergegangen den Computercheck aktiv als Supportinstrument zu nutzen. Der Kunde wird gebeten erst einmal den Check zu machen und dafür zu sorgen, dass die Ampel wieder grün zeigt. Danach kann er sich gegebenenfalls wieder melden. Die Erfahrung lehrt, dass sich ein Großteil dieser Anfragen durch den Verweis auf die wichtige Aktualisierung im Computercheck ohne Aufwand für die Bank klären lässt, denn aktuelle Softwarekomponenten bedeuten automatisch weniger Probleme mit der Seitendarstellung. Funktioniert der Computercheck mit jedem Browser? Ja, der Computercheck funktioniert mit jedem Browser. Auf bekannte Sicherheitsprobleme hin kontrolliert er allerdings nur die Browser Internet Explorer, Mozilla Firefox, Google Chrome, Safari und Opera. Was ist ein Plugin? Plugins sind kleine Zusatzprogramme innerhalb des Internet-Browsers. Sie können Filme und Musik abspielen oder besondere Funktionen ermöglichen und sind zur Darstellung mancher Internetseiten notwendig. Typische Beispiele für Plugins sind Adobe Flash, Microsoft Silverlight oder das Java-Plugin. Warum soll man Programme und Plugins aktualisieren? Programme und Plugins können fehlerhaft sein und damit Sicherheitslücken aufweisen. Solche Sicherheitslücken erweisen sich heutzutage als Haupteinfallstore für Computerkriminelle. In besonders schlimmen Fällen reicht der Besuch einer manipulierten Internetseite aus, um angegriffen zu werden. Solche Sicherheitslücken werden von den Programm-Herstellern immer wieder durch Aktualisierungen behoben. Deswegen ist es wichtig, Programme grundsätzlich auf dem neuesten Stand zu halten und alle Aktualisierungen zeitnah durchzuführen. Dies gilt insbesondere für Windows, für den Browser und die wichtigsten Plugins. Warum wird nach der Aktualisierung immer noch ein Fehler angezeigt? Es kommt gelegentlich vor, dass nach einer Installation der Browser oder aber auch der ganze Computer neu gestartet werden muss, bevor die Aktualisierung wirklich wirksam ist. Am besten Sie starten den Computer einmal neu und wiederholen den Computercheck, dann sollte alles wieder auf grün stehen. CORONIC GmbH, Seite 24

25 Warum ist ein veralteter Flash Player eine Sicherheitslücke? Der Flash-Player kann nicht nur Videos abspielen, sondern auch Anweisungen aus dem Internet auswerten und auf dem eigenen Computer ausführen. So kann ein vermeintlich harmloses Video ganz schnell zu einer Hintertür für Internet-Kriminelle werden. Das geht umso leichter, je älter der verwendete Flash-Player ist. Gerade veraltete Versionen haben oft längst bekannte Sicherheitslücken, die Kriminelle für ihren Angriff verwenden können. Warum soll ich Java immer auf dem neuesten Stand halten? Java ist ein sehr mächtiges Plugin für den Browser. Java kann nicht nur Seiten darstellen sondern auch Anweisungen aus dem Internet auswerten und auf dem eigenen Computer ausführen. Aus diesem Grund haben sich viele Internet-Kriminelle auf das Angreifen von Computern über Java-Funktionen spezialisiert. Denn oft verfügen alte Versionen über längst bekannte Sicherheitslücken, die diese Kriminellen für ihren Angriff verwenden können. Mein Silverlight ist veraltet. Stellt das eine Sicherheitslücke dar? Ja, auf jeden Fall. Veraltete Software ist generell ein Sicherheitsproblem, weil die meisten Aktualisierungen nur aufgrund von Programmierfehlern erfolgen. Nur wer seine Software regelmäßig aktualisiert, kann auch all diese kleinen Fehler und Sicherheitslücken beseitigen. Natürlich gibt es manchmal Aktualisierungen, die nur der Schönheit des Programms, nicht jedoch seinen Sicherheitsfunktionen dienen. Dies ist aber fast immer die Ausnahme. Daher gilt: Wenn es eine neue Version gibt, sofort installieren! Warum sind veraltete Plugins und Programme immer eine Sicherheitslücke? Plugins wie Quicktime, Java, der Adobe Flash-Player oder Microsoft Silverlight sind mächtige und komplexe Programme. Sie können nicht nur Filme und Musik abspielen, sondern auch Anweisungen aus dem Internet auswerten und auf dem eigenen Computer ausführen. Aus diesem Grund haben sich viele Internet-Kriminelle auf das Angreifen von Computern über Plugins spezialisiert. Sie nutzen dafür Sicherheitslücken, die sich durch Fehler in den Plugins ergeben. In besonders schlimmen Fällen reicht bereits der Besuch einer manipulierten Internetseite aus, um angegriffen zu werden und einen Schaden zu erleiden. Neue Versionen der Plugins schließen in der Regel bekannte Sicherheitslücken und Fehler. Wer seine Plugins und Programme also regelmäßig aktualisiert, der beseitigt damit potentielle Sicherheitslücken und Angriffspunkte. Daher gilt: Führen Sie Aktualisierungen immer zeitnah durch! CORONIC GmbH, Seite 25

26 Testet der Computercheck auch Mac? Ja, der Computercheck testet auch Apple Macintosh Computer. Er erkennt veraltete Safari- Browser und veraltete Plugins in diesem Browser. Wie man seinen Mac am besten aktualisiert finden Sie im Bereich Tipps. Testet der Computercheck auch Linux? Ja, der Computercheck testet auch Linux PCs. Er erkennt veralteter Browser und veraltete Plugins in diesem Browser. Wie man sein Ubuntu-Linux am besten aktualisiert, finden Sie im Bereich Tipps. Mein Programm lässt sich nicht aktualisieren... Es kann manchmal vorkommen, dass sich eine neue Version nicht über die alte drüber installieren lässt. Ist dies der Fall sollten Sie zunächst die alte Version komplett deinstallieren, anschließend den Computer einmal neue starten und erst dann die neue Version des Programms installieren. Kann der Computercheck auf meine Daten zugreifen? Der Computercheck schaut nur von außen auf Ihren Computer, so wie es jedem anderen besuchten Webserver auch möglich ist (spiegel.de, google.de, amazon.de, bahn.de,...). Der Computercheck verändert auf Ihrem Computer keine Daten. CORONIC GmbH, Seite 26